Was ist ein SSL-Zertifikat?

Secure Sockets Layer, allgemein als SSL bezeichnet, ist ein Sicherheitsstandard zum Verschlüsseln der Kommunikation zwischen einem Webserver und dem Webbrowser des Clients. Obwohl der Begriff im allgemeinen Sprachgebrauch immer noch verwendet wird, wurde das SSL-Protokoll tatsächlich durch das TLS-Protokoll ersetzt, das für Transport Layer Security steht.

Jede Website mit einer HTTPS-Webadresse verwendet das SSL / TLS-Protokoll. Immer wenn der Webbrowser ein gültiges SSL-Zertifikat sieht, wird neben der Adresse ein grünes Vorhängeschlosssymbol angezeigt. Dies ist ein visueller Hinweis für den Desktop-Benutzer, dass die gesamte Kommunikation zwischen seinem Browser und dem Webserver über einen verschlüsselten Kanal erfolgt.

Warum SSL-Zertifikate verwenden?

Alle Informationen, die über das Internet gesendet werden, werden über verschiedene Zwischencomputer übertragen, bevor sie den Zielwebserver erreichen. Dies bedeutet, dass jeder dieser Zwischencomputer dazwischen auf übertragene Daten zugreifen kann, die Informationen wie Benutzernamen und Kennwörter sowie andere vertrauliche Informationen enthalten können. SSL-Zertifikate verringern dieses Risiko, indem sie sicherstellen, dass alle über das Internet gesendeten Informationen so verschlüsselt sind, dass nur der beabsichtigte Empfänger darauf zugreifen kann.

Tatsächlich sind bestimmte Websites, wie z. B. Bank- und Zahlungsportale, gesetzlich verpflichtet, bestimmte Schritte zu unternehmen, bevor sie Benutzer nach vertraulichen Informationen fragen können. Eine dieser Anforderungen ist die Verwendung ordnungsgemäß validierter SSL-Zertifikate.

Auch wenn Sie Benutzer nicht nach vertraulichen Informationen fragen, lohnt es sich, ein SSL-Zertifikat zu verwenden. Bereits 2014 gab Google bekannt, dass die Suchmaschine HTTPS als Ranking-Signal verwendet hat, um das Web sicherer zu machen. Dies bedeutet, dass Websites, die ein gültiges SSL-Zertifikat verwenden, als besser eingestuft und in den Suchergebnissen höher eingestuft werden. Dadurch wird ein SSL-Zertifikat effektiv zu einem grundlegenden, aber wesentlichen SEO-Tool.

Was enthält ein SSL-Zertifikat?

Technisch gesehen ist ein SSL-Zertifikat eine Datendatei auf dem Webserver, die mehrere Informationen enthält. Der wichtigste Aspekt des Zertifikats ist der öffentliche Schlüssel der Website.

Dies wird begleitet von dem Domainnamen, für den das Zertifikat ausgestellt wurde, und Details zu der Person oder der Organisation, für die es ausgestellt wurde. Das Zertifikat enthält neben der digitalen Signatur auch Angaben zu der Behörde, die es ausgestellt hat. Weitere wichtige Details sind das Ausstellungsdatum des Zertifikats, die Dauer seiner Gültigkeit sowie das Ablaufdatum des Zertifikats.

Der öffentliche Schlüssel (und der entsprechende private Schlüssel) sind im Wesentlichen lange Zeichenfolgen, mit denen die übertragenen Daten verschlüsselt und entschlüsselt werden können. Es ist wichtig zu beachten, dass mit dem öffentlichen Schlüssel verschlüsselte Daten nur mit dem privaten Schlüssel entschlüsselt werden können.

Wenn ein Webbrowser versucht, mit dem Server zu kommunizieren, ruft er das Zertifikat auf, um die Identität des Servers zu überprüfen und dann seinen öffentlichen Schlüssel zu erhalten. Anschließend wird ein verschlüsselter Kanal zwischen sich und dem Webserver erstellt. Alle über diesen Kanal übertragenen Daten können nur von dem Webserver entschlüsselt werden, der über den privaten Schlüssel verfügt.

Wer stellt SSLs aus?

SSL-Zertifikate werden von einer vertrauenswürdigen Zertifizierungsstelle (CA) ausgestellt. Die Webbrowser, Betriebssysteme und heutzutage sogar Mobilgeräte führen eine Liste vertrauenswürdiger CA-Stammzertifikate.

Ein Stammzertifikat ist sehr wertvoll, da jedes mit seinem privaten Schlüssel signierte SSL-Zertifikat von den Webbrowsern automatisch als vertrauenswürdig eingestuft wird. Wenn der Zertifizierungsstelle hingegen nicht vertraut wird, zeigt der Browser dem Endbenutzer nicht vertrauenswürdige Fehlermeldungen an.

Unternehmen wie DigiCert, IdenTrust, GlobalSign und Let's Encrypt werden als vertrauenswürdige Zertifizierungsstellen bezeichnet. Webbrowser und Betriebssystementwickler wie Microsoft, Mozilla, Google, Opera usw. vertrauen diesen Zertifizierungsstellen und im weiteren Sinne allen SSL-Zertifikaten, die mit ihren privaten Schlüsseln signiert sind.

Arten von SSL-Zertifikaten

Es gibt einige verschiedene Arten von SSL-Zertifikaten, die grob in drei Kategorien eingeteilt werden können.

Domain-Validated (DV) -Zertifikate sind Einstiegszertifikate, die die grundlegende Verschlüsselung und Überprüfung des Eigentums an den Domainnamen-Registrierungsdatensätzen abdecken. Diese Art von Zertifikat ist die billigste und kann innerhalb weniger Minuten ausgestellt werden.

Als nächstes folgen die OV-Zertifikate (Organization-Validated), mit denen neben der grundlegenden Verschlüsselung und Überprüfung auch Details zum Eigentümer wie Name und Adresse authentifiziert werden. In Anbetracht der manuellen Überprüfung dauert es einige Stunden bis mehrere Tage, um ein OV-Zertifikat zu erhalten.

Schließlich gibt es die EV-Zertifikate (Extended Validation), die am vertrauenswürdigsten sind, da sie auch die physische und betriebliche Existenz des Inhabers der Website überprüfen. Sie befolgen strenge Richtlinien für den Überprüfungsprozess, die mehrere Wochen dauern können.

Darüber hinaus gibt es für alle Arten von SSL-Zertifikaten zwei Varianten. Es gibt ein einzelnes Domänenzertifikat, das einen vollständig qualifizierten Domänennamen sichert. Es ist billiger als ein Platzhalterzertifikat, das mehrere Subdomains schützt.

Was ist ein selbstsigniertes SSL-Zertifikat?

Technisch gesehen kann jeder sein eigenes SSL-Zertifikat erstellen, indem er eine öffentlich-private Schlüsselpaarung generiert. Diese Zertifikate werden als selbstsignierte Zertifikate bezeichnet, da die verwendete digitale Signatur nicht von einer Drittanbieter-Zertifizierungsstelle stammt, sondern vom privaten Schlüssel der Website.

Sie sind zwar am bequemsten und können sofort generiert werden, da es keine Überprüfung durch Drittanbieter gibt. Webbrowser halten selbstsignierte Zertifikate nicht für vertrauenswürdig. Aus diesem Grund markieren Webbrowser die Website trotz verschlüsselter Kommunikation weiterhin als "nicht sicher". Zumindest die meisten Webbrowser stellen sicher, dass Sie verstehen, dass die Website ein selbstsigniertes Zertifikat verwendet, bevor Sie den Inhalt der Website anzeigen.

Wie bekomme ich SSL-Zertifikate?

Aufgrund ihrer Rolle im Suchmaschinenranking ist es für jeden eine gute Idee, sich ein SSL-Zertifikat zu besorgen.

Der erste Schritt besteht darin, zu bestimmen, welche Art von Zertifikat Sie benötigen, hauptsächlich abhängig von der Anzahl der Domänen und Subdomänen, die Sie sichern müssen. Der Prozess ist viel wichtiger für Unternehmen in regulierten Branchen wie dem Bankwesen, die sicherstellen müssen, dass ihr SSL-Zertifikat den definierten Anforderungen entspricht.

Es gibt mehrere Anbieter von SSL-Zertifikaten. Abhängig von der Art des Zertifikats und dem Ruf und dem Vertrauen der ausstellenden Zertifizierungsstelle können die Kosten für SSL-Zertifikate zwischen einigen US-Dollar und mehreren hundert US-Dollar pro Jahr liegen.

Heutzutage können Sie dank der Let's Encrypt-Zertifizierungsstelle auch eine kostenlos erhalten. Es wurde von EFF, Mozilla und der University of Michigan mit Cisco und Akamai als Gründungssponsoren gegründet.

Let's Encrypt ist eine gemeinnützige Zertifizierungsstelle, die seit April 2016 kostenlos SSL-Zertifikate verteilt. Ihre Zertifikate sind 90 Tage gültig und können während dieser Gültigkeitsdauer jederzeit erneuert werden. Laut der eigenen Forschung von Let's Encrypt wurden die Zertifikate weitgehend von kostenbewussten Benutzern übernommen, zu denen kleinere Websites wie persönliche Blogs und kleine Unternehmen gehören.